NAT routing to internal webserver

Когда я захожу на whatismyip.com с любого ПК, кроме 192.168.0.47, я получаю xx.59.194.58 в качестве адреса, моего WAN IP в роутере. Когда я использую ПК по адресу 192.168.0.47, я получаю ответ xx.59.194.57.

ip address> print
Flags: X - disabled, I - invalid, D - dynamic
ADDRESS            NETWORK         BROADCAST       INTERFACE
0   ;;; WAN IP xxx.59.194.58/24   xxx.59.194.0    xxx.59.194.255  public
1   ;;; ip for internal PC xxx.59.194.57/24   xxx.59.194.0    xxx.59.194.255  public

ip firewall nat> pr
Flags: X - disabled, I - invalid, D - dynamic
0   chain=srcnat src-address=192.168.0.47 action=src-nat to-addresses=xxx.59.194.57 to-ports=0-65535
1   ;;; masquerade hotspot network
chain=srcnat src-address=10.20.7.0/24 action=masquerade
2   ;;; masquerade private network
chain=srcnat src-address=192.168.0.0/24 action=masquerade

ip route> pr
Flags: X - disabled, A - active, D - dynamic, C - connect, S - static, r - rip, b - bgp, o - ospf
DST-ADDRESS        PREFSRC         G GATEWAY         DISTANCE INTERFACE
0 ADC 10.20.7.0/24       10.20.7.1                                  hotspot
1 ADC xx.59.194.0/24    xx.59.194.58                              public
2 ADC 192.168.0.0/24     192.168.0.10                               private
3 A S 0.0.0.0/0                          r xxx.59.194.1             public

Как насчёт твоих правил брандмауэра? Чтобы корректно настроить трансляцию адресов, недостаточно просто правильно использовать src-nat, нужны ещё и подходящие правила фильтра брандмауэра.

Когда я предполагаю, что твои правила фильтрации позволяют только исходящие соединения из внутренней сети и установленные/связанные соединения из интернета во внутреннюю сеть, то нужно добавить соответствующие правила.

Конечно, это зависит от реальной конфигурации роутера, и поэтому я и спрашивал эти правила..

У меня тоже такая проблема, не могу srcnat :S. Что может быть не так?

Я смог настроить NAT как с 2.8, так и с 2.9, используя hotspot для подключения к веб-камере в моей домашней сети.

Вот правила 2.9:

0   ;;; masquerade hotspot network
   chain=srcnat
   src-address=10.20.7.0/24
   action=masquerade
1   ;;; masquerade private network
   chain=srcnat
   src-address=192.168.0.0/24
   action=masquerade
2   chain=dstnat
   dst-address=xxx.yyy.194.57
   action=dst-nat
   to-addresses=192.168.0.20
   to-ports=80
3   chain=src-nat
   src-address=192.168.0.20
   action=src-nat
   to-addresses=xxx.yyy.194.57
   to-ports=80

ip hotspot
ip-binding> print

Flags: X - disabled, P - bypassed, B - blocked

MAC-ADDRESS       ADDRESS                         TO-ADDRESS      SERVER
0 P 80:80:66:7B:1F:A0 192.168.0.20                    xxx.yyy.194.57   hs-hotspot

xxx.yyy.194.57 — мой публичный IP. Если у тебя не работает hotspot, то тебе, наверное, не понадобится команда ip-binding.

Не могу заставить это работать… Мне нужно, чтобы все адреса были NAT'ированы до xx.xxx.xx.x, и все порты, но не работает. На 2.8 работало, но я не знаю, почему на 2.9 не работает :S

Привет, постараюсь объяснить понятно. Когда я работал с версией 2.8, у меня было правило исходного NAT, и в этом правиле я добавил такую конфигурацию: ip firewall src-nat> add action=nat to-src-address=x1.x23.x14.xx to-s rc-port=0-65535 src-address=0.0.0.0/0 dst-address=0.0.0.0/0 protocol=all. Проблема в том, что в 2.9 это не работает.

Мои правила для NAT внутренней сети и IP-телефона, подключенного к отдельному интерфейсу:

0   ;;; Внутренний LAN NAT
   chain=srcnat
   out-interface=Internet
   src-address=192.168.1.0/24
   action=src-nat
   to-addresses=82.xxx.xxx.205
   to-ports=0-65535

1   ;;; Nat для IP-телефона
   chain=srcnat
   out-interface=Internet
   src-address=192.168.2.10
   action=src-nat
   to-addresses=82.xxx.xxx.201
   to-ports=0-65535

2   ;;; IP Phone chain
   chain=dstnat
   in-interface=Internet
   dst-address=82.xxx.xxx.201
   action=dst-nat
   to-addresses=192.168.2.10
   to-ports=0-65535

Синтаксис немного изменился с версией 2.9.

С уважением,
Andrew